Web Security Cloud Service - Nach allen Sicherheitsregeln surfen

Artikel Web Security Cloud Service für Competence Site Stand: 21.04.10 Autor: Daniel Wolf, Territory Manager DACH bei Zscaler Web Security Cloud Service Nach allen Sicherheitsregeln surfen Die Budgets für IT-Sicherheit sind über alle Branchen hinweg in der letzten Zeit bedenklich gesunken. Unternehmen sparen krisenbedingt nicht nur an Lösungen, sondern auch an Mitarbeitern. Doch Cyberkriminelle haben nach wie vor Hochkonjunktur und verbreiten Malware, Viren und Würmer auf immer raffiniertere Weise im Internet. Es ist also an der Zeit, über die Neuorganisation der IT-Security nachzudenken. Höchste Sicherheit zum kleinsten Gesamtpreis ist gefragt. Deshalb prognostizieren Analysten heitere Aussichten für on demand Sicherheitsdienste aus der Cloud. Sie vermeiden unnötige Kapitalbindung für Hard- oder Software, können Kosten sparen und gewährleisten dabei oft mehr Sicherheit als im Eigenbetrieb möglich ist. Cloud Computing hat sich längst zur festen Größe in der IT-Welt entwickelt. Unternehmen gewinnen dadurch nicht nur an Flexibilität, sondern zahlen auch nur die Leistung, die sie tatsächlich brauchen. Dieses Konzept haben nun auch Sicherheitsanbieter für sich entdeckt. In weltweit verteilten Rechenzentren betreiben sie unterschiedlichste Sicherheitslösungen, um den Web- oder E-Mailverkehr ihrer Kunden vor sämtlichen Bedrohungen aus dem Internet zu schützen. Der Vorteil dabei: Unternehmen sparen sich die Kosten für die Anschaffung und Wartung eigener Sicherheitssysteme und können das Schutzlevel flexibel anpassen. So lässt sich beispielsweise für die F&E-Abteilung das höchste Sicherheitsniveau einrichten, für den normalen Sachbearbeiter genügt des Basisschutz. Gezahlt wird jeweils nur, was genutzt wird. Dadurch ergeben sich deutliche Kosteneinsparungen gegenüber herkömmlichen Webfiltern und Proxy-Systemen. Marktanalysten sehen großes Potenzial Wegen dieser Vorteile schreiben die Marktanalysten Security as a Service ein großes Potenzial zu. Dessen Entfaltung dürfte sich durch den Kostendruck der momentanen wirtschaftlichen Lage zusätzlich beschleunigen. So ist Brian Burke, Program Director für Security-Produkte beim Marktforscher IDC ist optimistisch: "Bei E-Mail- Anwendungen ist Cloud-Security bereits erfolgreich etabliert. Heute interessieren sich deshalb mehr und mehr Unternehmen auch für Dienste, die ihren HTTP-Kanal schützen. Das SaaS-Konzept hilft großen Unternehmen, viel teure Hardware einzusparen. Kleinere Unternehmen können ihre Infrastruktur auch mit wenig eigenen IT-Ressourcen anspruchsvoll schützen." Einer der Pioniere im Bereich Cloud Security ist der Sicherheitsanbieter Zscaler, der auf ein einfaches, aber effektives Verfahren setzt: Anhand einfacher Routing- oder Proxy-Einstellungen wird der Webverkehr der Nutzer über global verteilte Gateways geleitet. Damit der Zugriff auf die Webseite ohne Umwege geschieht, ist die Infrastruktur weltweit direkt an den Internetknoten angesiedelt. Dort werden die Webinhalte dank Cloud-Technologie praktisch verzögerungsfrei gescannt. Bewegt sich ein mobiler Anwender in eine andere Region, leitet der Service den Webverkehr automatisch über das nächstgelegene Gateway. 1/3 Artikel Web Security Cloud Service für Competence Site Stand: 21.04.10 Zscaler betreibt über 25 solcher Rechenzentren auf der ganzen Welt, europäische Gateways stehen unter anderem in Frankfurt, Amsterdam, Paris und London. Durch eine eigens entwickelte Technologie erreicht jedes einzelne Gateway mit mehr als 250.000 Transaktionen pro Sekunde den 50- bis 100-fachen Durchsatz bislang verfügbarer Proxy-Methoden. Der Vorteil für die Nutzer liegt darin, dass sie den Dienst modular – also nach Sicherheitslevel – lizenzieren und verbrauchsgerecht pro Mitarbeiter abrechnen können. Mobil, sicher und richtlinientreu Da Cloud Security auf einer weltweit verteilten Infrastruktur basiert, lassen sich damit auch mobile Geräte wie Laptop, Blackberry oder iPhone ohne Mehraufwand schützen. Da heute so viel Webverkehr über die mobilen Alleskönner läuft wie nie zuvor, stellen sie für Internetkriminelle ein lohnendes Ziel dar. Spätestens seit dem Apple iPhone ist das 'mobile Web' keine separate Plattform mehr. Man braucht für die mobile Anwendung weder WAP noch WML, sondern kann auf Standard-Webapplikationen überall per Laptop oder Telefon zugreifen. Das macht alle mobilen Geräte anfällig für die bekannten Bedrohungen aus dem Web wie etwa Cross Site Scripting, das es Angreifern ermöglicht, Inhalte von Websites zu verändern oder Benutzer-Sessions zu übernehmen und damit unter ihre Kontrolle bringen. Mit dem Cloud Service von Zscaler können die meisten mobilen Geräte die Security- Richtlinien eines Unternehmens über eine simple Konfigurationseinstellung weltweit automatisch einhalten. So profitieren die Browser in Laptops oder Smartphones von der gleichen Sicherheitsstufe wie die PCs innerhalb des Unternehmens. Darüber hinaus lassen sich mit ein paar Klicks auch individuelle Nutzungsrichtlinien festlegen, zum Beispiel je nach Endgerät oder Position des Mitarbeiters. Da die individuellen Sicherheitsrichtlinien der Kunden in jedem der Gateways hinterlegt sind, spielt es keine Rolle, von wo aus ein Mitarbeiter auf das Internet zugreift. Sowohl das Logging als auch das Reporting führt der Cloud-Dienst für alle mobilen Nutzer zentral durch. Netzwerk 2.0 ohne Einschränkungen Die größte Herausforderung für alle Sicherheitslösungen ist die starke Ausbreitung aktiver Web 2.0-Inhalte. Denn je dynamischer und aktiver die Inhalte sind, desto höher ist auch die Gefahr von Angriffen. Fotos und Präsentationen werden hoch- und runtergeladen, Blogs geschrieben, Texte verändert. Da ist es für geübte Kriminelle ein Leichtes, Malware ins Mitmach-Web einzuschleusen. Oft lassen sich die veränderbaren Inhalte mit herkömmlichen URL-Filtern nicht mehr ausreichend prüfen. Um Risiken zu vermeiden, verbieten viele Unternehmen ihrem Personal schlichtweg zahlreiche Web 2.0-Anwendungen und nehmen lieber die damit einhergehenden Produktivitätsnachteile in Kauf. Intelligente Reglementierungen scheiterten bislang an den herkömmlichen Sicherheitslösungen, die Social Network-Anwendungen entweder nur generell erlauben oder verbieten können anstatt sie selektiv und sicher zu nutzen. Cloud Security bietet die Möglichkeit, Web 2.0 Anwendungen von Streaming über Social Networking bis hin zu File-Uploads unternehmensweit – auch für externe Clients – klug zu reglementieren. Administratoren haben dabei die Möglichkeit, zeit- oder volumenbasierte Kontingente festzulegen oder gezielt den Austausch von Dateien zu unterbinden, ohne Applikationen gänzlich zu blockieren. Das Prinzip dahinter: Statt nur der URL wird der gesamte Inhalt jeder einzelnen HTTP- oder HTTPS-Transaktion 2/3 Artikel Web Security Cloud Service für Competence Site Stand: 21.04.10 überprüft und abgesichert. So kann eine Lösung für Unternehmenssicherheit wesentlich schneller auf die häufig wechselnden Bedrohungen reagieren als herkömmliche, signaturbasierte Antivirus-Lösungen auf dem PC. Für die Wahl eines Cloud Service spricht neben den flexiblen Schutzfunktionen auch der geringere Aufwand für die Administration und das Reporting. Denn die verteilte Architektur ist darauf ausgelegt, sämtliche administrativen Funktionen zentral zugänglich zu machen. In der Praxis bedeutet dies für den Netzwerk-Verantwortlichen, dass sich beispielsweise die Einstellung und Überwachung der Sicherheitsrichtlinien für alle Clients zentral erledigen lässt. Auch um Updates, Patches, Systemwartung, Betriebskosten muss sich das Unternehmen nicht mehr kümmern. Vorschlag Kasten: Die Gefahr aus dem Web hat Hochkonjunktur Die Studie "Die Lage der IT-Sicherheit in Deutschland 2009" vom Bundesamt für Sicherheit in der Informationstechnik (BSI) macht deutlich: Die Gefahr durch Online- Kriminalität steigt weiter an. Ziel der Angreifer ist es, die Computer der Nutzer für ihre Zwecke zu missbrauchen und an vertrauliche Informationen wie etwa Bankdaten zu gelangen. Bei den Methoden werden die Internetpiraten immer erfinderischer: Sie fingieren Websites oder Mails mit gut getarnten, infektiösen Links oder nutzen Schwachstellen im Browser, um unbemerkt Programme zu installieren. Sie hacken seriöse Webseiten, um gezielt und unsichtbar Schadcode zu platzieren. Und sie nutzen zunehmend das Web 2.0. Über drei Viertel der 2008 neu entdeckten Schwachstellen können von einem entfernten Angreifer ausgenutzt werden. Über Tastatureingaben sind sie in der Lage, Logins und Passwörter auszuspionieren oder den ganzen PC unter Kontrolle bringen. Laut BSI sind 90 Prozent aller Webseiten potenziell gefährdet. 3/3